本发明涉及使用限制操作环境的基于令牌的安全多方计算框架。根据一种实施方式，响应于服务器的主机代理通过网络从用户的用户设备接收到的处理用户数据的请求，系统将代表该请求的令牌发送给执行器池，其中该执行器池具有一池许多执行器。该系统通过该主机代理从该执行器池接收执行器的可执行镜像，其中该执行器池响应于成功地验证该令牌而从一池执行器分配该执行器。该系统在该服务器中启动限制操作环境，包括向该限制操作环境提供该执行器的该可执行镜像和该用户数据。该系统在该限制操作环境中执行该执行器的该可执行镜像，其中该执行器在被执行时处理该用户数据而不用访问在该限制操作环境外部的外部组件。